Arquitetura de segurança para soluções IoT

Ao projetar e arquitetar uma solução de IoT, é importante entender as possíveis ameaças e incluir defesas apropriadas. Entender como um invasor pode comprometer um sistema ajuda você a garantir que as mitigações apropriadas estejam em vigor desde o início.

Modelagem de ameaças

A Microsoft recomenda usar um processo de modelagem de ameaças como parte do design da solução de IoT. Se você não estiver familiarizado com a modelagem de ameaças e o ciclo de vida de desenvolvimento seguro, confira:

• Modelagem de ameaças
• Melhores práticas de desenvolvimento seguro no Azure
• Guia de introdução

Segurança na IoT

É útil dividir a sua arquitetura de IoT em várias zonas como parte do exercício de modelagem de ameaças:

• Dispositivo
• Gateway de campo
• Gateway de nuvem
• Serviço

Cada zona geralmente tem seus próprios requisitos de dados e autenticação e autorização. Você também pode usar zonas para isolar danos e restringir o impacto de zonas de baixa confiança em zonas de confiança mais altas.

Cada zona é separada por um limite de confiança, mostrado como a linha vermelha pontilhada no diagrama a seguir. Representa uma transição de dados de uma fonte para outra. Durante esta transição, os dados podem estar sujeitos às seguintes ameaças:

• Falsificação
• Adulteração
• Repúdio
• Divulgação de informações confidenciais
• Negação de serviço
• Elevação de privilégio

Para saber mais, confira o modelo STRIDE.

Você pode usar STRIDE para modelar as ameaças para cada componente dentro de cada zona. As seções a seguir trazem mais detalhes sobre cada um dos componentes, assim como informações sobre problemas de segurança específicos e as soluções correspondentes.

O restante deste artigo discute as ameaças e estratégias de mitigação para essas zonas e componentes com mais detalhes.

Zona do dispositivo

O ambiente do dispositivo é o espaço ao redor do dispositivo em que o acesso físico e o acesso digital de rede local ao dispositivo são viáveis. Supõe-se que uma rede local seja distinta e isolada da Internet pública, mas potencialmente tenha uma ponte para ela. O ambiente do dispositivo inclui qualquer tecnologia de rádio sem fio de curto alcance que permita a comunicação ponto a ponto dos dispositivos. Ele não inclui nenhuma tecnologia de virtualização de rede criando a ilusão de tal rede local. Ele não inclui redes de operadores públicos que exigem que dois dispositivos se comuniquem entre espaços de rede públicos se eles entrarem em uma relação de comunicação ponto a ponto.

Zona do gateway de campo

Um gateway de campo é um dispositivo ou software de computador de servidor de uso geral que atua como habilitador de comunicação e, potencialmente, como um sistema de controle de dispositivo e hub de processamento de dados do dispositivo. A zona do gateway de campo inclui o próprio gateway de campo e todos os dispositivos anexados a ele. Os gateways de campo atuam fora das instalações de processamento de dados dedicados, geralmente são associados à localização, estão potencialmente sujeitos à intrusão física e têm redundância operacional limitada. Um gateway de campo normalmente é uma coisa que um invasor pode sabotar fisicamente se tiver acesso físico.

Um gateway de campo difere de um roteador de tráfego por desempenhar uma função ativa na gestão do acesso e fluxo de informações. O gateway de campo tem duas áreas de superfície distintas. Um enfrenta os dispositivos anexados a ele e representa o interior da zona. O outro enfrenta todas as partes externas e é a borda da zona.

Zona do gateway de nuvem

Um gateway de nuvem é um sistema que permite a comunicação remota de e para dispositivos ou gateways de campo implantados em vários sites. O gateway de nuvem normalmente habilita um sistema de análise de dados e controle baseado em nuvem ou uma federação desses sistemas. Em alguns casos, um gateway de nuvem pode imediatamente facilitar o acesso a dispositivos de finalidade especial de terminais, como telefones ou tablets. Na zona de gateway de nuvem, as medidas operacionais impedem o acesso físico direcionado e não são necessariamente expostas a uma infraestrutura de nuvem pública.

Um gateway de nuvem pode ser mapeado em uma sobreposição de virtualização de rede para isolar o gateway de nuvem e todos os seus dispositivos conectados ou gateways de campo de qualquer outro tráfego de rede. O gateway de nuvem em si não é um sistema de controle de dispositivo ou um recurso de processamento ou armazenamento para dados do dispositivo; essas instalações se relacionam com o gateway de nuvem. A zona de gateway de nuvem inclui o próprio gateway de nuvem juntamente com todos os gateways de campo e dispositivos conectados diretamente ou indiretamente a ele. A borda da zona é uma área de superfície distinta pela qual todas as partes externas se comunicam.

Zona de serviços

Um serviço neste contexto é qualquer componente de software ou módulo que se relacione com dispositivos por meio de um campo ou gateway de nuvem. Um serviço pode coletar dados dos dispositivos e comandar e controlar esses dispositivos. Um serviço é um mediador que atua sob sua identidade em relação a gateways e outros subsistemas para:

• Armazenar e analisar dados
• Emitir comandos para dispositivos com base em insights de dados ou agendamentos
• Expor informações e recursos de controle a usuários finais autorizados

Dispositivos IoT

Os dispositivos IoT geralmente são dispositivos de finalidade especial que vão desde sensores de temperatura simples até linhas de produção de fábrica complexas com milhares de componentes dentro delas. Os recursos de dispositivo IoT de exemplo incluem:

• Medir e relatar condições ambientais
• Transformar válvulas
• Controlar servos
• Soar alarmes
• Ativar ou desativar as luzes

A finalidade desses dispositivos determina seu design técnico e o orçamento disponível para sua produção e operação de tempo de vida agendada. A combinação desses fatores restringe o orçamento de energia operacional disponível, o volume físico e os recursos de armazenamento, computação e segurança disponíveis.

As coisas que podem dar errado com um dispositivo IoT automatizado ou controlado remotamente incluem:

• Defeitos físicos
• Defeitos de lógica de controle
• Intrusão e manipulação não autorizadas intencionais.

As consequências dessas falhas podem ser severas, como lotes de produção destruídos, edifícios incendiados ou ferimentos e morte. Portanto, há uma barreira de segurança alta para dispositivos que movimentam coisas ou que relatam dados de sensor que resultam em comandos que fazem com que as coisas se movam.

Controle de dispositivos e interações de dados do dispositivo

Dispositivos de finalidade especial conectados têm um número significativo de áreas de superfície de interação potencial e padrões de interação, que devem ser considerados para fornecer uma estrutura para proteger o acesso digital a esses dispositivos. O acesso digital refere-se a operações realizadas por meio de software e hardware, em vez de por meio do acesso físico direto ao dispositivo. Por exemplo, o acesso físico pode ser controlado colocando o dispositivo em uma sala com uma fechadura na porta. Embora o acesso físico não possa ser negado por meio de hardware e software, é possível adotar medidas para impedir que o acesso físico resulte na interferência do sistema.

Ao explorar os padrões de interação, dê ao controle de dispositivo e os dados de dispositivo a mesma atenção. O controle de dispositivo refere-se a qualquer informação fornecida a um dispositivo com a intenção de modificar o seu comportamento. Os dados do dispositivo referem-se a informações que um dispositivo emite a qualquer outra parte sobre o seu estado e o estado observado de seu ambiente.

Modelagem de ameaças para a arquitetura de referência da Internet das Coisas do Azure

Esta seção usa a arquitetura de referência da Internet das Coisas do Azure para demonstrar como pensar sobre a modelagem de ameaças para IoT e como lidar com as ameaças identificadas:

O diagrama a seguir proporciona uma exibição simplificada da arquitetura de referência por meio de um modelo de diagrama de fluxo de dados:

A arquitetura separa os recursos de gateway de dispositivo e de campo. Esta abordagem permite que você use dispositivos de gateway de campo mais seguros. Os dispositivos de gateway de campo podem se comunicar com o gateway de nuvem usando protocolos seguros, que normalmente exigem maior poder de processamento do que o que um dispositivo simples, como um termostato, poderia fornecer por conta própria. Na Zona de Serviços do Azure do diagrama, o serviço Hub IoT do Azure atua como o gateway de nuvem.

Com base na arquitetura descrita anteriormente, as seções a seguir mostram alguns exemplos de modelagem de ameaças. Os exemplos se concentram nos elementos principais de um modelo de ameaça:

• Processos
• Comunicação
• Armazenamento

Processos

Aqui estão alguns exemplos de ameaças na categoria de processos. As ameaças são categorizadas com base no modelo STRIDE:

Falsificação: um invasor pode extrair chaves criptográficas de um dispositivo, em nível de software ou hardware. O invasor então usa essas chaves para acessar o sistema de um dispositivo físico ou virtual diferente usando a identidade do dispositivo original.

Negação de Serviço: um dispositivo pode ficar incapaz de funcionar ou de se comunicar interferindo em frequências de rádio ou cortando fios. Por exemplo, uma câmera de vigilância que teve sua conexão de rede ou energia derrubada intencionalmente não pode relatar dados.

Adulteração: um invasor pode substituir parcial ou completamente o software do dispositivo. Se as chaves criptográficas do dispositivo estiverem disponíveis para o código do invasor, ele poderá usar a identidade do dispositivo.

Adulteração: Uma câmera de vigilância que está mostrando uma imagem de espectro visível de um corredor vazio poderia ser apontada para uma fotografia de tal corredor. Um sensor de fumaça ou incêndio pode relatar alguém segurando um isqueiro sob ele. Em ambos os casos, tecnicamente, o dispositivo pode ser confiável para o sistema, mas ele relata informações manipuladas.

Adulteração: um invasor pode usar chaves criptográficas extraídas para interceptar e suprimir dados enviados pelo dispositivo, substituindo-os por dados falsos autenticados com as chaves roubadas.

Divulgação não autorizada de informação: se o dispositivo estivesse executando software manipulado, tal software manipulado poderia potencialmente vazar dados para partes não autorizadas.

Divulgação de informações confidenciais: um invasor pode usar chaves criptográficas para injetar código no caminho de comunicação entre o dispositivo e o gateway de campo ou de nuvem, com o objetivo de desviar informações.

Negação de serviço: O dispositivo pode ser desativado ou transformado em um modo em que a comunicação não é possível (o que é intencional em muitas máquinas industriais).

Violação: o dispositivo pode ser reconfigurado para operar em um estado desconhecido para o sistema de controle (fora de parâmetros de calibragem conhecidos) e, portanto, fornecer dados que podem ser interpretados incorretamente

Elevação de Privilégio: um dispositivo que realiza uma função específica pode ser forçado a fazer algo diferente. Por exemplo, uma válvula é programada para abrir a metade do caminho pode ser levada para abrir completamente.

Violação/falsificação/repúdio: se não protegido (que raramente é o caso com controles remotos do consumidor), um invasor poderá manipular o estado de um dispositivo anonimamente. Uma boa ilustração é um controle remoto que pode desativar qualquer TV.

A tabela a seguir mostra mitigações de exemplo para essas ameaças. Os valores na coluna de ameaça são abreviações:

• Falsificação (S)
• Adulteração (T)
• Repúdio (R)
• Divulgação de informações confidenciais (I)
• Negação de serviço (D)
• Elevação de privilégio (E)

Componente	Ameaça	Mitigação	Risco	Implementação
Dispositivo	S	Atribuição de identidade para o dispositivo e autenticação do dispositivo	Substituir o dispositivo ou parte dele por outro dispositivo. Como você sabe que está falando com o dispositivo certo?	Autenticar o dispositivo, usando o protocolo TLS ou IPsec. A infraestrutura deve dar suporte ao uso de chave pré-compartilhada (PSK) nesses dispositivos que não podem lidar com criptografia assimétrica completa. Use o Microsoft Entra ID, OAuth.
	TRID	Aplicar mecanismos de prevenção de adulteração aos dispositivos, por exemplo, tornando difícil ou impossível extrair chaves e outros materiais criptográficos do dispositivo.	O risco é se alguém está violando o dispositivo (interferência física). Como ter certeza de que o dispositivo não foi adulterado?	A mitigação mais eficaz é um módulo de plataforma confiável (TPM). Um TPM armazena chaves, mas não permite que sejam extraídas. No entanto, o próprio TPM pode realizar operações criptográficas com as chaves. Criptografia de memória do dispositivo. Gerenciamento de chaves para o dispositivo. Assinar o código.
	E	Ter controle de acesso do dispositivo. Esquema de autorização.	Se o dispositivo permitir que ações individuais sejam executadas com base em comandos de uma fonte externa, ou até mesmo sensores comprometidos, isso permite que o ataque execute operações não acessíveis de outra forma.	Ter um esquema de autorização para o dispositivo.
Gateway de campo	S	Autenticação do gateway de campo no gateway de nuvem (por exemplo, baseada em certificado, PSK ou em declarações.)	Se alguém pode falsificar o gateway de campo, pode se apresentar como qualquer dispositivo.	TLS RSA/PSK, IPSec, RFC 4279. As mesmas preocupações de confirmação e armazenamento de chave dos dispositivos em geral, o melhor caso é usar o TPM. Extensão de 6LowPAN para o IPsec para dar suporte a WSN (Redes de Sensores Sem Fio).
	TRID	Proteger o gateway de campo contra violação (TPM)	Ataques de falsificação que enganam o gateway de nuvem pensando que ele está conversando com o gateway de campo podem resultar em divulgação de informações e violação de dados	Criptografia da memória, TPM, autenticação.
	E	Mecanismo de controle de acesso para o gateway de campo

Comunicação

Aqui estão alguns exemplos de ameaças na categoria de comunicação. As ameaças são categorizadas com base no modelo STRIDE:

Negação de serviço: Os dispositivos restritos geralmente estão sob ameaça do DoS quando escutam ativamente conexões de entrada ou datagramas não solicitados em uma rede. Um invasor pode abrir muitas conexões em paralelo e não aterá-las ou aterá-las lentamente, ou inundar o dispositivo com tráfego não solicitado. Em ambos os casos, o dispositivo efetivamente pode ficar inoperante na rede.

Falsificação, Divulgação de informações confidenciais: Dispositivos restritos e dispositivos de finalidade especial geralmente têm recursos de segurança de um para todos, como senha ou proteção de PIN. Às vezes, eles dependem totalmente da confiança da rede e concedem acesso a informações a qualquer dispositivo na mesma rede. Se a rede estiver protegida por uma chave compartilhada e esta for divulgada, um invasor poderá controlar o dispositivo ou observar os dados que ele transmite.

Falsificação: um invasor pode interceptar ou parcialmente substituir a transmissão e falsificar o originador.

Violação: um invasor pode interceptar ou substituir parcialmente a transmissão e enviar informações falsas.

Divulgação de informações confidenciais: um invasor pode espionar uma transmissão e obter informações sem autorização.

Negação de serviço: um invasor pode interferir no sinal de transmissão e negar a distribuição de informações.

A tabela a seguir mostra mitigações de exemplo para essas ameaças:

Componente	Ameaça	Mitigação	Risco	Implementação
Hub IoT de dispositivo	TID	(D)TLS (PSK/RSA) para criptografar o tráfego	Espionagem ou interferência na comunicação entre o dispositivo e o gateway	Segurança no nível do protocolo. Com os protocolos personalizados, você precisa descobrir como protegê-los. Na maioria dos casos, a comunicação ocorre do dispositivo para o Hub IoT (o dispositivo inicia a conexão).
Dispositivo para dispositivo	TID	(D)TLS (PSK/RSA) para criptografar o tráfego.	Leitura de dados em trânsito entre os dispositivos. Violação de dados. Sobrecarga do dispositivo com novas conexões	Segurança no nível do protocolo (MQTT/AMQP/HTTP/CoAP. Com os protocolos personalizados, você precisa descobrir como protegê-los. A mitigação da ameaça de DoS é para os dispositivos pares por meio de um gateway de campo ou nuvem e fazê-los agir somente como clientes para a rede. Após o gateway estabelecer o emparelhamento, será possível criar uma conexão direta entre os pares.
Dispositivo de entidade externa	TID	Emparelhamento forte da entidade externa com o dispositivo	Espionagem da conexão com o dispositivo. Interferência na comunicação com o dispositivo	Emparelhar de forma segura a entidade externa com o dispositivo NFC/Bluetooth LE. Controle do painel operacional do dispositivo (físico).
Gateway de nuvem de Gateway de campo	TID	TLS (PSK/RSA) para criptografar o tráfego.	Espionagem ou interferência na comunicação entre o dispositivo e o gateway	Segurança no nível de protocolo (MQTT/AMQP/HTTP/CoAP). Com os protocolos personalizados, você precisa descobrir como protegê-los.
Gateway de nuvem do dispositivo	TID	TLS (PSK/RSA) para criptografar o tráfego.	Espionagem ou interferência na comunicação entre o dispositivo e o gateway	Segurança no nível de protocolo (MQTT/AMQP/HTTP/CoAP). Com os protocolos personalizados, você precisa descobrir como protegê-los.

Armazenamento

A tabela a seguir mostra mitigações de exemplo para as ameaças de armazenamento:

Componente	Ameaça	Mitigação	Risco	Implementação
Armazenamento de dispositivo	TRID	Criptografia de armazenamento, assinar os logs	Lendo dados do armazenamento, adulterando dados de telemetria. Violação de dados de controle de comando em cache ou enfileirados. Violação de pacotes de atualização de firmware ou configuração enquanto os armazenados em cache ou enfileirados localmente podem levar os componentes de sistema operacional e/ou sistema a serem comprometidos	Criptografia, MAC (Message Authentication Code) ou assinatura digital. Onde for possível, controle de acesso forte por meio de permissões ou ACLs (listas de controle de acesso) de recurso.
Imagem do sistema operacional do dispositivo	TRID		Violação do sistema operacional/substituição de componentes do sistema operacional	Partição do sistema operacional somente leitura, imagem do sistema operacional assinada, criptografia
Armazenamento de gateway de campo (enfileirando os dados)	TRID	Criptografia de armazenamento, assinar os logs	Leitura de dados do armazenamento, adulteração de dados de telemetria, adulteração de dados de controle de comandos enfileirados ou armazenados em cache. Violação de pacotes de atualização de firmware ou configuração (destinados a dispositivos ou gateway de campo) enquanto os armazenados em cache ou enfileirados localmente podem levar os componentes de sistema operacional e/ou sistema a serem comprometidos	BitLocker
Imagem do sistema operacional do gateway de campo	TRID		Violação do sistema operacional/substituição de componentes do sistema operacional	Partição do sistema operacional somente leitura, imagem do sistema operacional assinada, criptografia

Próximas etapas

Para saber mais sobre a segurança da IoT, confira:

• Controlar o acesso ao Hub IoT
• Guia de segurança do IoT Central
• Segurança na carga de trabalho de IoT (Azure Well-Architected Framework)